Politique de confidentialité

PRÉAMBULE

La présente politique de confidentialité (ci-après la « Politique de confidentialité ») est établie par la société EFFINOT, société par actions simplifiée au capital de 5 000 euros, immatriculée au Registre du commerce et des sociétés de Romans-sur-Isère sous le numéro 107 075 129, dont le siège social est situé 1 rue Jean-François de la Pérouse, 26000 Valence, représentée par sa Présidente (ci-après « EFFINOT »).

Elle s'applique au site internet accessible à l'adresse www.effinot.fr (ci-après le « Site ») ainsi qu'à la plateforme logicielle EFFINOT (ci-après la « Plateforme » ou le « Service »), destinée exclusivement aux offices notariaux et à leurs collaborateurs.

La Politique de confidentialité fait partie intégrante des Conditions générales d'utilisation (ci-après les « CGU ») et, le cas échéant, des Conditions particulières d'utilisation applicables. Les termes commençant par une majuscule et non définis aux présentes ont le sens qui leur est donné dans les CGU.

Elle décrit la manière dont EFFINOT traite les données à caractère personnel, en application du Règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.

EFFINOT a conscience de la sensibilité particulière des données traitées par les offices notariaux et du secret professionnel absolu auquel le notaire est astreint en application de l'article 226-13 du Code pénal et de l'article 3.4 du règlement national des notaires. L'architecture de la Plateforme et les engagements pris aux présentes en découlent directement.

Le parti pris d'architecture. EFFINOT a choisi de faire reposer la protection des données de dossier sur des contraintes techniques plutôt que sur des seules promesses contractuelles. Sur les flux les plus sensibles, la confidentialité ne dépend pas de la bonne foi d'EFFINOT ni de la discipline de ses personnels : elle est structurellement garantie, EFFINOT ne détenant pas les moyens de déchiffrer. Ce principe, décrit à l'article 5.2, est le fil directeur de l'ensemble des mesures exposées aux articles 12 et 12 bis.

Il s'accompagne d'un second parti pris, plus rare : ne pas collecter. La Plateforme ne comporte aucun outil de mesure d'audience, aucun traceur comportemental ni aucun mot de passe. L'article 12 bis dresse l'inventaire de ce qui n'est pas collecté ; l'article 7 expose, s'agissant du criblage, ce qui est transmis à des tiers ou conservé et ce qui ne l'est pas.

ARTICLE 1 — OBJET ET CHAMP D'APPLICATION

1.1 Objet

La présente Politique de confidentialité a pour objet d'informer :

• les Utilisateurs de la Plateforme, à savoir les notaires et les collaborateurs des offices notariaux dûment habilités par ceux-ci ;
• les personnes concernées dont les données sont traitées au sein de la Plateforme dans le cadre des dossiers instruits par les offices clients ;
• les visiteurs du Site ;

des traitements de données à caractère personnel mis en œuvre par EFFINOT, de leurs finalités, de leurs bases légales, de leurs durées de conservation et des droits dont disposent les personnes concernées.

1.2 Absence d'accès direct des clients de l'office

La Plateforme est un outil professionnel à destination exclusive des offices notariaux. Les clients des offices n'y disposent d'aucun compte ni d'aucun accès direct. Leurs données y sont traitées exclusivement sur instruction de l'office notarial, responsable de traitement, dans les conditions décrites à l'article 4.

Toute demande émanant d'une personne concernée dont les données sont traitées au sein d'un dossier doit en conséquence être adressée en priorité à l'office notarial concerné, dans les conditions précisées à l'article 14.

ARTICLE 2 — QUALIFICATION DES PARTIES

EFFINOT intervient à un double titre, selon la nature des données concernées. Cette distinction, qui commande l'ensemble des développements qui suivent, est la suivante :

EFFINOT n'agit en aucun cas en qualité de responsable conjoint du traitement avec l'office notarial s'agissant des données de dossier. Le notaire demeure seul maître des finalités et des moyens essentiels du traitement des données de ses clients, conformément aux règles régissant sa profession.

Portée de cette distinction. Elle n'est pas seulement déclarative : elle est inscrite dans l'architecture technique. Les données relevant de la sous-traitance sont cloisonnées par office au moyen des trois barrières décrites à l'article 12.4, dont l'une est cryptographique : les données d'un office sont chiffrées au moyen d'une clé qui lui est propre, ce qui rend leur consultation croisée impossible, y compris par EFFINOT, sans mise en œuvre de la clé de l'office concerné.

ARTICLE 3 — TRAITEMENTS MIS EN ŒUVRE PAR EFFINOT EN QUALITÉ DE RESPONSABLE DE TRAITEMENT

3.1 Données collectées

a) Données d'identification et d'habilitation des Utilisateurs

Civilité, nom, nom d'usage, prénoms, qualité (notaire titulaire, notaire associé, notaire salarié, clerc, formaliste, comptable taxateur, assistant, autre), adresse électronique professionnelle, numéro de téléphone professionnel, office de rattachement, numéro CRPCEN de l'office, identifiant IDNOT le cas échéant, périmètre des droits d'accès attribués.

b) Données de compte et d'usage

Identifiant de connexion, paramètres du compte, préférences d'interface, données de facteur d'authentification renforcée, journaux de connexion et d'action (horodatage, empreinte cryptographique de l'adresse IP, type d'opération réalisée), données d'assistance technique (contenu des demandes de support).

L'adresse IP n'est jamais conservée en clair, dans les conditions précisées à l'article 12 bis.2.

c) Données de gestion commerciale

Raison sociale de l'office, forme juridique, adresse, numéro SIREN, numéro de TVA intracommunautaire, numéro CRPCEN, nom et coordonnées du contact administratif et du contact facturation, coordonnées bancaires, historique des abonnements, factures et paiements.

d) Données de prospection

Nom, prénom, fonction, office, adresse électronique professionnelle, historique des échanges commerciaux, source de la collecte.

e) Données de navigation

Dans les conditions précisées à l'article 17, données de connexion et de navigation sur le Site.

3.2 Finalités, bases légales et durées

3.3 Caractère obligatoire des données

Les données signalées comme obligatoires lors de la création d'un compte conditionnent l'accès au Service. Leur défaut de communication fait obstacle à l'ouverture du compte.

3.4 Minimisation appliquée aux données de compte

Les données de compte font l'objet des mesures de minimisation suivantes, qui constituent des engagements de la part d'EFFINOT :

• Aucun mot de passe n'est utilisé pour l'accès à la Plateforme (article 12.2). Il n'existe en conséquence aucune base de mots de passe susceptible d'être dérobée.
• L'adresse IP n'est jamais conservée en clair : elle est systématiquement transformée en empreinte cryptographique salée, non réversible, avant tout enregistrement (article 12 bis.2).
• Le journal technique d'accès ne conserve ni identité d'utilisateur, ni adresse IP, ni identifiant de navigateur, ni paramètres d'URL, et les identifiants figurant dans les chemins consultés y sont masqués.
• Les préférences d'interface (thème, couleur d'accentuation, taille de texte) sont conservées au seul bénéfice du confort d'usage et de l'accessibilité, et ne font l'objet d'aucune exploitation statistique ou commerciale.

ARTICLE 4 — TRAITEMENTS MIS EN ŒUVRE PAR EFFINOT EN QUALITÉ DE SOUS-TRAITANT

Le présent article vaut description du traitement au sens de l'article 28.3 du RGPD. Il est complété par l'accord de sous-traitance annexé aux Conditions générales d'utilisation, qui prévaut en cas de divergence.

4.1 Objet et nature du traitement

Hébergement, structuration, analyse et restitution des données et documents versés dans la Plateforme par l'office notarial ou collectés pour son compte auprès de bases de données et d'organismes tiers, aux fins de l'instruction des dossiers de l'office.

4.2 Finalité du traitement

Fourniture des fonctionnalités du Service souscrites par l'office, à l'exclusion de toute autre finalité. EFFINOT s'interdit expressément :

• de traiter les données de dossier pour ses propres finalités ;
• de les céder, louer ou communiquer à des tiers, sous réserve de l'article 9 ;
• de les exploiter à des fins de prospection ;
• de les utiliser pour l'entraînement de modèles d'intelligence artificielle, dans les conditions précisées à l'article 6.

Ces interdictions ne reposent pas seulement sur un engagement. Le modèle économique d'EFFINOT est l'abonnement acquitté par l'office : il ne comporte aucune composante publicitaire, aucune revente de données, aucune monétisation indirecte de l'audience ni de l'usage. EFFINOT ne dispose d'aucun intérêt économique à l'exploitation des données de dossier, et n'a déployé aucun des instruments techniques qui la rendraient possible (article 12 bis).

4.3 Catégories de personnes concernées

Parties aux actes et à leurs avant-contrats, leurs conjoints et représentants, ayants droit et héritiers, bénéficiaires effectifs de personnes morales, mandataires, cautions, créanciers, occupants, professionnels intervenant au dossier, et plus généralement toute personne dont les données figurent dans les pièces versées au dossier.

4.4 Catégories de données

• Données d'identification : civilité, nom patronymique et d'usage, prénoms, date et lieu de naissance, nationalité, adresse, coordonnées, profession ;
• Données relatives à l'état des personnes : situation matrimoniale, régime matrimonial, existence d'un pacte civil de solidarité, filiation, capacité, mesures de protection ;
• Données relatives aux biens : références cadastrales, titres, servitudes, diagnostics techniques, informations environnementales et d'urbanisme ;
• Données de correspondance : échanges versés au dossier.

4.5 Catégories particulières de données

Le Service n'a pas pour objet le traitement de catégories particulières de données au sens de l'article 9 du RGPD. Toutefois, de telles données peuvent figurer incidemment dans les pièces versées au dossier par l'office.

Il en va de même des données relatives aux condamnations pénales et infractions au sens de l'article 10 du RGPD, susceptibles de figurer dans les diligences LCB-FT.

EFFINOT applique à ces données les mêmes mesures de sécurité renforcées qu'aux autres données de dossier. L'office notarial demeure seul responsable de la licéité de leur traitement.

Précision sur le niveau de protection appliqué. Les pièces justificatives versées au dossier — catégorie dans laquelle ces données ont vocation à figurer — relèvent du deuxième niveau de chiffrement décrit à l'article 12.3 : chaque fichier est chiffré au moyen d'une clé qui lui est propre, elle-même protégée par une clé dérivée du secret de l'office. La compromission simultanée de la base de données et de l'espace de stockage ne livrerait que des données chiffrées.

4.6 Durée du traitement

Les données de dossier sont conservées pendant la durée du contrat conclu avec l'office et, au-delà, dans les conditions prévues à l'article 16 (réversibilité). EFFINOT ne conserve aucune donnée de dossier au-delà de ces délais, sous la seule réserve des obligations légales de conservation qui lui incombent en propre.

4.7 Instructions du responsable de traitement

EFFINOT ne traite les données de dossier que sur instruction documentée de l'office. Les paramétrages disponibles au sein de la Plateforme, ainsi que les stipulations des CGU et de l'accord de sous-traitance, constituent les instructions initiales de l'office. Toute instruction particulière doit être adressée par écrit à l'adresse figurant à l'article 21.

Si EFFINOT estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable en matière de protection des données, elle en informe l'office sans délai.

ARTICLE 5 — SECRET PROFESSIONNEL NOTARIAL

5.1 Engagement de confidentialité

EFFINOT, ses dirigeants, ses salariés et ses prestataires sont tenus à une obligation de confidentialité de même intensité que celle qui s'impose au notaire.

À ce titre :

• l'ensemble des personnes accédant, à quelque titre que ce soit, aux données de dossier sont soumises à un engagement de confidentialité écrit, à caractère personnel, survivant à la cessation de leurs fonctions ;
• l'accès aux données de dossier par les personnels d'EFFINOT est strictement limité aux hypothèses d'intervention technique nécessaire, subordonné à une habilitation nominative, journalisé et, sauf urgence caractérisée affectant la disponibilité ou l'intégrité des données, subordonné à l'accord préalable de l'office ;
• les journaux d'accès des personnels d'EFFINOT aux données de dossier sont mis à la disposition de l'office sur simple demande ;
• les stipulations du présent article sont répercutées à l'identique dans les contrats conclus avec les sous-traitants ultérieurs visés à l'article 9.

5.2 Garantie cryptographique : l'impossibilité technique de lire

Un engagement de confidentialité repose sur la loyauté de celui qui le souscrit. EFFINOT a choisi d'aller au-delà : sur les flux les plus sensibles, la confidentialité ne dépend pas de la bonne foi d'EFFINOT, parce qu'EFFINOT ne détient pas les moyens de déchiffrer.

Il en va ainsi de la transmission de coordonnées bancaires et de l'envoi sécurisé de documents aux clients de l'office. Ces flux mettent en œuvre un chiffrement de bout en bout à connaissance nulle :

• le chiffrement et le déchiffrement s'opèrent dans le navigateur de l'émetteur et du destinataire, au moyen d'un algorithme AES-GCM 256 bits ;
• la clé de déchiffrement est scindée en deux fragments transmis par deux canaux distincts — un fragment dans le lien adressé par voie électronique, l'autre dans un code communiqué par téléphone ou message court — et n'est reconstituée que sur le terminal du destinataire ;
• le fragment issu du code est dérivé par une fonction de dérivation à 600 000 itérations, ce qui rend son épuisement par force brute économiquement hors d'atteinte ;
• à aucun moment la clé, ni l'un de ses fragments réunis, ne transite ni ne séjourne sur les serveurs d'EFFINOT.

La conséquence est directe pour le secret professionnel : sur ces flux, EFFINOT ne peut pas produire le contenu en clair, quand bien même elle y serait contrainte. Ni une négligence de ses personnels, ni la compromission de son infrastructure, ni une réquisition adressée à EFFINOT ne permettent d'accéder au contenu.

5.3 Cloisonnement cryptographique par office et effacement cryptographique

Chaque office dispose d'un secret de chiffrement qui lui est propre, généré aléatoirement et conservé sous une forme elle-même chiffrée. Les données sensibles de l'office sont protégées par des clés dérivées de ce secret.

Deux conséquences en découlent :

1. Aucune consultation croisée entre offices n'est possible au niveau cryptographique, indépendamment de tout contrôle applicatif ou de toute règle de base de données (article 12.4).
2. La destruction du secret d'un office rend définitivement illisibles l'ensemble des données protégées par lui, sans affecter aucun autre office. Ce mécanisme, dit d'effacement cryptographique, permet un effacement effectif y compris à l'égard des supports sur lesquels une suppression ligne à ligne serait impraticable (article 16.4).

5.4 Absence de mécanisme d'usurpation d'identité

La Plateforme ne comporte aucune fonction permettant à un personnel d'EFFINOT de se substituer à un Utilisateur ni de consulter la Plateforme sous son identité — fonction communément désignée sous le terme d'« impersonation » et couramment offerte par les outils d'assistance.

Par ailleurs, la qualité d'administrateur de la plateforme, nécessaire à l'exploitation technique du Service, ne confère par elle-même aucun droit au sein d'un office : elle est strictement distincte des habilitations attribuées par le notaire au sein de son office.

5.5 Fondement réglementaire de la sous-traitance notariale

Le recours par un office notarial à un prestataire technique pour l'exécution de tâches administratives est expressément encadré par l'article 8 du décret n° 2023-1297 du 28 décembre 2023 et par l'article 2.2.2 de l'arrêté du 29 janvier 2024, qui subordonnent une telle externalisation à la conclusion de clauses de confidentialité spécifiques.

Les stipulations du présent article, complétées par l'accord de sous-traitance, ont pour objet de satisfaire à ces exigences. EFFINOT tient à la disposition de l'office l'analyse juridique correspondante, aux fins de sa propre documentation de conformité.

ARTICLE 6 — FONCTIONNALITÉS D'INTELLIGENCE ARTIFICIELLE

6.1 Nature des fonctionnalités

Certaines fonctionnalités de la Plateforme reposent sur des traitements algorithmiques, y compris des modèles d'apprentissage automatique, notamment aux fins d'extraction de données au sein de pièces, de classement et de dénomination de documents, de restitution d'informations et d'aide à la détection d'éléments d'attention.

6.2 Nature des résultats produits en matière de vigilance

6.2.1 Un indice de vigilance, non un jugement sur la personne

Les fonctionnalités de vigilance ne portent aucune appréciation sur une personne. Elles ne déclarent personne suspect, ni conforme, ni à risque.

Ce qu'elles produisent est un indice de vigilance : une mesure de l'ampleur des vérifications que le dossier appelle. L'indice décrit un état du dossier, pas une qualité de la personne.

La distinction commande tout le reste :

• un indice élevé signifie « ce dossier comporte plusieurs éléments qui méritent votre examen » — il demande une vérification ;
• il ne signifie jamais « cette personne présente un risque », et ne constitue en aucun cas une conclusion opposable à qui que ce soit.

En conséquence, aucun résultat produit par la Plateforme n'a d'effet sur la situation juridique des personnes concernées. Le seul effet d'un indice élevé est d'appeler l'attention du notaire et d'augmenter le travail de vérification qui lui incombe.

6.2.2 Comment l'indice se construit

L'indice suit une logique cumulative et transparente : chaque élément appelant un examen ajoute au besoin de vérification.

• Chaque source consultée peut faire remonter des éléments d'attention (correspondance avec un référentiel de sanctions ou de gel d'avoirs, fonction publique possible, procédure collective, information de presse, incohérence d'identité, élément de contexte géographique).
• Plus le dossier comporte d'éléments de ce type, plus l'indice invite à vérifier. À l'inverse, un dossier sans élément d'attention n'appelle pas de diligence particulière au-delà des vérifications ordinaires du notaire.
• Les éléments sont pondérés selon la gravité de ce qui a été relevé, et non selon la source dont ils proviennent : une même source peut produire un élément d'attention ou une simple information de contexte selon ce qu'elle renvoie. Le détail de cette pondération est mis à la disposition de l'Utilisateur, qui peut ainsi savoir pourquoi un dossier appelle davantage d'examen.

Les formulations employées dans les restitutions sont choisies pour ne jamais qualifier : la Plateforme signale des éléments « à examiner », elle ne conclut pas.

6.2.3 Le rôle des traitements automatiques dans la construction de l'indice

Trois traitements méritent d'être décrits précisément, car ils reposent sur des procédés automatiques.

a) L'appariement aux référentiels de sanctions et de personnes politiquement exposées. Il est déterministe : il compare une identité aux référentiels officiels et calcule un degré de correspondance. Il n'emploie aucun modèle d'apprentissage. Cet appariement est réalisé localement, sans que l'identité recherchée soit transmise à un tiers (article 7).

b) La corroboration des correspondances « personne politiquement exposée ». Une correspondance de nom avec un référentiel de personnes politiquement exposées est, seule, peu informative : les homonymies y sont fréquentes. La Plateforme rassemble donc des éléments publiquement accessibles et en produit une synthèse au moyen d'un modèle de langage, afin d'aider l'Utilisateur à apprécier si la correspondance est plausible.

Ce traitement ne détermine pas la qualité de personne politiquement exposée : il documente. Deux garanties l'encadrent :

• lorsque la corroboration ne réunit aucun élément public étayant la correspondance, celle-ci est présentée comme un élément d'information plutôt que comme un point d'attention — mais elle reste affichée et consultable : rien n'est supprimé du dossier ;
• l'Utilisateur conserve à tout moment l'accès à la correspondance d'origine et aux éléments qui ont fondé la synthèse.

Cette étape a pour objet de réduire le bruit, non de trancher. Un dossier dont la correspondance n'est pas corroborée demande moins de vérification ; il ne devient pas pour autant « conforme ».

c) Le tri des homonymes dans les annonces légales. Les registres d'annonces légales sont interrogés par le nom et renvoient des résultats portant sur des personnes différentes portant le même nom. La Plateforme recroise chaque société ainsi trouvée avec le registre des dirigeants, afin de comparer l'année de naissance du dirigeant en fonction à celle du dossier.

Deux régimes en résultent, et ils n'ont pas la même portée :

• Lorsque l'année de naissance ne peut pas être opposée — elle est absente du dossier, absente du registre, ou la personne ne figure pas parmi les dirigeants actuels (cas d'une société quittée) — le résultat est conservé et affiché, assorti de la mention qu'il reste à confirmer. La Plateforme ne tranche pas, et il en va de même des sociétés atteintes par les limites de volume de l'exploration : dans le doute, le résultat est montré, jamais écarté.
• Lorsque l'année de naissance est connue des deux côtés et qu'elle se contredit, le résultat est retiré du dossier : il porte sur une autre personne. Ce retrait ne procède pas d'une appréciation de vraisemblance mais d'un élément d'identité objectif et divergent. Il constitue le seul cas où un résultat n'est pas restitué à l'Utilisateur.

Hors ce cas, la Plateforme ne déclare aucun résultat vrai ni faux : elle affiche les résultats retenus et ceux dont le rattachement n'est pas établi, en signalant lesquels, et le notaire apprécie.

6.2.4 Absence de décision individuelle automatisée

Ces fonctionnalités constituent exclusivement des outils d'aide à la décision. Aucune d'elles ne produit de décision fondée exclusivement sur un traitement automatisé au sens de l'article 22 du RGPD.

Le notaire conserve, en toutes circonstances, l'entière maîtrise de l'analyse, de la qualification et de la décision. Aucun résultat produit par la Plateforme ne se substitue à son appréciation ni ne l'exonère de ses obligations professionnelles de vérification et de conseil. La décision de nouer ou de poursuivre une relation d'affaires, celle de mettre en œuvre des mesures de vigilance renforcée et celle d'effectuer une déclaration de soupçon relèvent exclusivement de lui (article 7).

Mise en œuvre concrète de cette exigence. La supervision humaine n'est pas seulement affirmée : elle est imposée par le parcours. La fiche de vigilance ne peut être close sans que le notaire ait expressément sélectionné une décision parmi celles que la réglementation lui ouvre, et le cas échéant statué sur l'opportunité d'une déclaration de soupçon. Aucun automatisme ne renseigne cette décision à sa place, l'indice de vigilance ne préremplit aucune conclusion, et aucune fonctionnalité de la Plateforme ne produit de décision opposable à une personne concernée.

6.2.5 Explicabilité et contestation

Explicabilité. L'Utilisateur peut consulter, pour chaque dossier, les éléments qui composent l'indice, leur source et le nombre de points que chacun retire. Il dispose ainsi, élément par élément, de la raison pour laquelle le dossier appelle davantage d'examen, et peut vérifier chaque élément retenu à sa source.

S'agissant des correspondances avec un référentiel, le détail du rapprochement est également restitué — champ comparé, degré de similarité, concordance ou divergence de la date de naissance et points correspondants —, de sorte que l'Utilisateur peut refaire le calcul.

Contestation. Toute personne estimant qu'un élément la concernant est inexact peut le faire valoir auprès de l'office notarial, responsable de traitement, dans les conditions de l'article 14. L'office saisit EFFINOT, qui procède aux vérifications suivantes :

• si l'inexactitude provient de l'appariement réalisé par la Plateforme (rapprochement erroné entre une identité et une entrée de référentiel), EFFINOT la corrige ;
• si elle provient du contenu d'un référentiel officiel (liste de sanctions, registre public), EFFINOT ne peut ni le modifier ni en écarter le contenu : elle en informe le demandeur et lui indique le canal de rectification propre à l'autorité ou à l'organisme qui l'établit.

Dans les deux cas, EFFINOT apporte à l'office l'assistance nécessaire et lui communique les éléments permettant de répondre à la personne concernée.

6.3 Absence d'utilisation des données de dossier à des fins d'entraînement

EFFINOT s'interdit d'utiliser les données de dossier, sous quelque forme que ce soit, y compris anonymisée ou agrégée, aux fins d'entraînement, de réentraînement, d'affinage ou d'évaluation de modèles d'intelligence artificielle, sauf autorisation écrite, spécifique et préalable de l'office, révocable à tout moment.

Le fournisseur de modèles auquel EFFINOT recourt, tel qu'identifié à l'article 9, est tenu à la même interdiction d'entraînement au titre de ses conditions contractuelles.

Les données transmises au fournisseur de modèles sont soumises à ses conditions standard, qui prévoient une conservation de courte durée, limitée à la détection d'abus, et excluent toute utilisation à des fins d'entraînement. Elles ne font l'objet d'aucune conservation au-delà de ce délai.

EFFINOT informera les offices clients dans les conditions de l'article 9.3 en cas de souscription ultérieure d'un régime de non-conservation renforcée.

6.4 Transparence

Conformément au règlement (UE) 2024/1689 établissant des règles harmonisées concernant l'intelligence artificielle, les interfaces concernées signalent à l'Utilisateur qu'il interagit avec un système d'intelligence artificielle et indiquent le niveau de fiabilité attendu du résultat produit. La documentation du Service précise, pour chaque fonctionnalité, la nature du traitement mis en œuvre et ses limites connues.

6.5 Garde-fous applicables aux fonctionnalités d'intelligence artificielle

Outre les engagements qui précèdent, les mesures suivantes sont mises en œuvre :

a) Un fournisseur de modèles unique, établi en France. EFFINOT recourt à un fournisseur unique pour l'ensemble de ses fonctionnalités conversationnelles, d'extraction et de synthèse. Ce fournisseur est établi en France et y opère son infrastructure. Il ne s'agit pas d'un simple point de présence européen d'un opérateur extra-européen.

b) Anonymisation préalable, à défaut blocage. Le parcours d'analyse de pièces comporte une étape de repérage et de masquage des éléments d'identification, exécutée avant toute transmission au modèle. Cette étape est conçue en rupture protectrice (fail-closed) : si le masquage ne peut être mené à bien, la transmission n'a pas lieu et l'analyse échoue — la Plateforme n'« essaie » jamais malgré tout.

c) Consentement spécifique pour la lecture de documents manuscrits. La lecture assistée de manuscrits, qui suppose la transmission de l'image de la page, n'est déclenchée qu'après accord exprès de l'Utilisateur, recueilli au moment de l'action et assorti d'un avertissement sur le caractère faillible du résultat.

d) Garde sur les contenus à risque. Un contrôle interpose une confirmation lorsque le contenu soumis présente des caractéristiques appelant une vigilance particulière.

e) Quotas d'usage. Des plafonds d'appel par minute, par jour et par office sont appliqués. Ils limitent, outre la charge, l'ampleur d'une exfiltration en cas de compromission d'un compte.

f) Absence de mémorisation entre sessions. Les fonctionnalités conversationnelles ne constituent aucun profil persistant de l'Utilisateur ni des personnes évoquées.

6.6 Choix de souveraineté sur les modèles

EFFINOT recourt à un modèle souverain, fourni par un opérateur établi en France et exploité sur une infrastructure française, pour l'ensemble des fonctionnalités visées au présent article.

EFFINOT s'engage à informer les offices clients, dans les conditions de l'article 9.3, de tout projet de recours à un fournisseur de modèles établi hors de l'Union européenne.

ARTICLE 7 — POSITIONNEMENT AU REGARD DE LA LUTTE CONTRE LE BLANCHIMENT

Le notaire est seul assujetti aux obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme au sens de l'article L. 561-2, 8° du Code monétaire et financier.

EFFINOT n'est pas une personne assujettie. Les fonctionnalités relatives à la collecte de pièces, à la consultation de bases publiques ou à la restitution d'éléments d'attention constituent une aide à l'accomplissement, par le notaire, de ses propres diligences. Elles ne constituent ni une mesure de vigilance au sens des articles L. 561-5 et suivants du Code monétaire et financier, ni une externalisation de celles-ci.

En conséquence :

• la décision de nouer ou de poursuivre une relation d'affaires, celle de procéder à des mesures de vigilance renforcée et celle d'effectuer une déclaration de soupçon relèvent exclusivement du notaire ;
• EFFINOT n'effectue aucune déclaration de soupçon et n'a pas accès aux déclarations éventuellement effectuées par l'office ;
• les données traitées à ce titre le sont en qualité de sous-traitant, dans les conditions de l'article 4.

Architecture du criblage. Pour l'appariement aux référentiels de sanctions, de gels d'avoirs et de personnes politiquement exposées, EFFINOT a retenu une architecture reposant sur le téléchargement des référentiels plutôt que sur l'interrogation d'une base distante :

• les référentiels officiels (Union européenne, Organisation des Nations unies, OFAC, OFSI, direction générale du Trésor, SECO, HATVP et autres) sont téléchargés et tenus à jour au sein de l'infrastructure d'EFFINOT ;
• l'appariement entre l'identité recherchée et ces référentiels est réalisé localement, en mémoire ;
• aucun éditeur de référentiel ne se voit communiquer le nom recherché du fait de cet appariement.

Cette architecture ne couvre pas l'ensemble des diligences, et EFFINOT énonce expressément les deux séries d'opérations qui font sortir ou conserver l'identité recherchée :

• les consultations de bases tierces, réalisées à la demande de l'Utilisateur — qu'il s'agisse de bases publiques (registres d'entreprises, annonces légales, registres de bénéficiaires effectifs, jurisprudence) ou de bases commerciales spécialisées — supposent, par construction, que le nom recherché soit transmis à l'exploitant de la base interrogée. Elles obéissent à la logique décrite à l'article 8 d), et l'Utilisateur en conserve l'initiative ;
• la surveillance continue, lorsque l'office la met en place, suppose que l'identité surveillée soit conservée par EFFINOT pendant toute la durée de cette surveillance, afin que les référentiels mis à jour puissent lui être réappliqués. Cette conservation prend fin lorsque l'office met fin à la surveillance du sujet concerné.

ARTICLE 8 — DESTINATAIRES DES DONNÉES

Les données sont destinées :

a) aux personnels d'EFFINOT habilités, dans la limite de leurs attributions et selon le principe du besoin d'en connaître ;

b) aux Utilisateurs de l'office notarial concerné, selon le périmètre d'habilitation défini par le notaire titulaire ou associé sous sa responsabilité professionnelle ;

c) aux sous-traitants ultérieurs limitativement énumérés à l'article 9 ;

d) le cas échéant, aux organismes, administrations et bases de données interrogés pour le compte de l'office, dans la stricte mesure nécessaire à l'exécution de la formalité demandée ;

e) aux autorités administratives ou judiciaires légalement habilitées à en connaître, sur réquisition régulière. En pareil cas, et sauf interdiction légale, EFFINOT en informe l'office sans délai afin de lui permettre de faire valoir, le cas échéant, le secret professionnel auquel il est tenu.

Les données ne font l'objet d'aucune communication à des annonceurs ou à des tiers à des fins de prospection.

Limite technique opposable aux réquisitions. L'engagement d'information prévu au e) est doublé d'une limite matérielle : s'agissant des flux relevant du chiffrement de bout en bout décrit à l'article 5.2, EFFINOT est dans l'impossibilité de déférer à une demande de communication en clair, faute de détenir les clés. S'agissant des données protégées par le secret propre à chaque office (article 5.3), toute communication suppose la mise en œuvre de la clé de l'office concerné, ce qui exclut toute extraction indifférenciée portant sur plusieurs offices.

ARTICLE 9 — SOUS-TRAITANTS ULTÉRIEURS

9.1 Autorisation

L'office notarial autorise EFFINOT à recourir aux sous-traitants ultérieurs énumérés au 9.2. Chacun d'eux est lié par un contrat comportant des obligations de protection des données au moins équivalentes à celles souscrites par EFFINOT aux termes des présentes.

9.2 Liste des sous-traitants ultérieurs

La version à jour de cette liste est consultable sur demande à l'adresse : contact@effinot.fr

Tenue de la liste. EFFINOT tient cette liste sous forme d'un inventaire versionné et daté, dans lequel chaque flux est rattaché à la donnée qu'il transporte et à sa localisation. Cet inventaire distingue les prestataires effectivement en service de ceux qui ont été retirés, et fait l'objet d'une révision à chaque évolution de l'architecture technique. Il est communiqué à l'office sur demande, dans les conditions de l'article 15.

9.3 Modification de la liste et droit d'opposition

EFFINOT informe l'office de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur au moins trente (30) jours avant sa mise en œuvre, par courrier électronique adressé au contact désigné par l'office et par publication sur la page visée au 9.2.

L'office dispose d'un délai de trente (30) jours pour s'opposer à ce changement, par écrit et pour un motif tenant à la protection des données. En cas d'opposition, les parties recherchent de bonne foi une solution alternative. À défaut d'accord dans un délai de trente (30) jours, l'office peut résilier le contrat sans indemnité ni pénalité, avec remboursement au prorata des sommes versées d'avance.

ARTICLE 10 — LOCALISATION DES DONNÉES ET TRANSFERTS

10.1 Localisation

Les données de dossier sont hébergées et sauvegardées exclusivement sur des serveurs situés sur le territoire Français, auprès de l'hébergeur.

10.2 Transferts hors Union européenne

EFFINOT ne procède à aucun transfert de données de dossier en dehors de l'Union européenne.

Dans l'hypothèse où un tel transfert deviendrait nécessaire, il ne pourrait intervenir qu'après information préalable de l'office dans les conditions de l'article 9.3, et sous réserve de la mise en œuvre de garanties appropriées au sens du chapitre V du RGPD, notamment la conclusion de clauses contractuelles types adoptées par la Commission européenne, assortie d'une analyse d'impact des transferts.

10.3 Chaîne de traitement souveraine

La localisation ne se limite pas à l'hébergement de la base de données : elle est recherchée à chaque maillon de la chaîne de traitement. À la date des présentes :

Cette recherche de souveraineté procède d'arbitrages successifs et documentés, dont plusieurs se sont traduits par le remplacement de prestataires extra-européens précédemment en service — s'agissant des modèles d'intelligence artificielle (article 6.6), de la mémoire cache et du moteur de recherche technique. EFFINOT ne revendique pas d'avoir toujours été souveraine : elle revendique de l'être devenue par décisions explicites, et tient l'historique de ces décisions à la disposition de l'office.

ARTICLE 11 — DURÉES DE CONSERVATION

Les durées applicables aux traitements mis en œuvre par EFFINOT en qualité de responsable de traitement figurent au tableau de l'article 3.2.

S'agissant des données de dossier traitées en qualité de sous-traitant :

• elles sont conservées pendant toute la durée du contrat conclu avec l'office ;
• l'office peut, à tout moment et depuis la Plateforme, procéder à la suppression d'un dossier ou de pièces déterminées ;
• les sauvegardes sont conservées pendant une durée de trente jours glissants, puis écrasées ; une donnée supprimée de la Plateforme disparaît en conséquence des sauvegardes à l'expiration de ce délai ;
• à la cessation du contrat, elles sont traitées dans les conditions de l'article 16.

EFFINOT ne fixe unilatéralement aucune durée de conservation des données de dossier : celle-ci relève des instructions de l'office, responsable de traitement, tenu par ailleurs à ses propres obligations de conservation en matière notariale.

11.4 Durées de vie appliquées automatiquement

Par exception au principe qui précède, et à son bénéfice, certaines catégories de données font l'objet d'une durée de vie maximale appliquée automatiquement, indépendamment de toute action de l'office.

Ces durées sont exécutées par des mécanismes automatiques : expiration native
pour les données placées en mémoire éphémère, et tâche de purge quotidienne pour les données en base, dont chaque exécution est elle-même journalisée. Elles ne
supposent aucune intervention humaine et ne peuvent être prolongées par
inadvertance.

S'agissant des envois sécurisés et des transmissions de coordonnées bancaires, la suppression intervient en outre immédiatement après consommation du lien, sans attendre le terme.

11.5 Caractère effectif de la suppression

Lorsque l'office supprime une pièce ou un document au moyen de la Plateforme, la suppression porte à la fois sur l'enregistrement en base de données et sur le fichier lui-même dans l'espace de stockage. EFFINOT ne met en œuvre, sur ces objets, aucun mécanisme de suppression logique consistant à masquer une donnée tout en la conservant.

Les liens d'accès limité communiqués aux clients de l'office sont par ailleurs renouvelés à chaque relance, ce qui prive de tout effet les liens antérieurement diffusés.

ARTICLE 12 — SÉCURITÉ

EFFINOT met en œuvre les mesures techniques et organisationnelles appropriées, au sens de l'article 32 du RGPD, pour garantir un niveau de sécurité adapté au risque, tenant compte de la sensibilité particulière des données traitées.

12.1 Mesures générales

Le détail de ces mesures est décrit dans le référentiel de sécurité communiqué à l'office sur demande.

L'Utilisateur concourt à la sécurité du Service. Il lui appartient notamment de préserver la confidentialité de ses identifiants, de ne pas les partager, de signaler sans délai toute suspicion de compromission et de maintenir à jour l'environnement informatique de l'office.

12.2 Accès au Service : une authentification sans mot de passe

L'accès à la Plateforme s'opère au moyen d'un lien à usage unique et d'un code adressés à l'adresse électronique professionnelle de l'Utilisateur. Aucun mot de passe n'est employé.

Ce choix est une mesure de sécurité, et non une commodité :

• il n'existe aucune base de mots de passe susceptible d'être dérobée, ni chez EFFINOT ni chez ses prestataires ;
• la réutilisation d'un mot de passe compromis ailleurs — première cause d'intrusion dans les services professionnels — est sans objet ;
• l'hameçonnage d'un mot de passe est sans objet, aucun mot de passe n'existant ;
• la compromission d'un accès est bornée dans le temps : les liens de connexion expirent en quinze minutes.

Ce dispositif est complété par :

• une ouverture de compte sur admission : une adresse inconnue ne reçoit ni lien, ni code, ni session, ce qui prive d'effet toute tentative d'inscription spontanée et empêche l'énumération des comptes existants ;
• une ré-authentification récente exigée pour les opérations sensibles de gestion de l'office (invitation, modification ou révocation d'un collaborateur) ;
• la relecture du statut du membre à chaque requête : la révocation d'un collaborateur prend effet immédiatement, sans attendre l'expiration de sa session ;
• un registre des appareils permettant à l'office de constater et, le cas échéant, de révoquer à distance les autres sessions ouvertes ;
• une alerte lors de la première connexion depuis un appareil inconnu ;
• un invariant garantissant qu'un office ne peut jamais se retrouver sans titulaire, y compris à la suite d'une suppression de compte.

12.3 Chiffrement : trois niveaux distincts

EFFINOT distingue explicitement trois niveaux de chiffrement, et applique à chaque catégorie de données celui qui correspond à sa sensibilité. Cette transparence est délibérée : une formule unique et indifférenciée (« chiffrement au repos ») ne permettrait pas à l'office d'apprécier le niveau de protection réellement applicable à ses données.

Niveau 1 — chiffrement de bout en bout à connaissance nulle. Applicable aux transmissions de coordonnées bancaires et aux envois sécurisés de documents. Les clés ne sont jamais détenues par EFFINOT. Voir l'article 5.2.

Niveau 2 — chiffrement applicatif par enveloppe, sous clé propre à l'office. Applicable aux pièces justificatives collectées auprès des clients de l'office et aux identifiants professionnels confiés à la Plateforme. Chaque fichier est chiffré au moyen d'une clé qui lui est propre ; cette clé est elle-même protégée par une clé dérivée du secret de l'office, lui-même protégé par une clé racine détenue hors de la base de données. La version de clé utilisée est inscrite dans la donnée, ce qui permet la rotation des clés sans perte d'accès. La compromission simultanée de la base de données et de l'espace de stockage ne livrerait que des données chiffrées.

Niveau 3 — chiffrement au repos assuré par l'hébergeur. Applicable aux autres données, dont les données structurées de dossier. Il s'agit du chiffrement des supports mis en œuvre par les hébergeurs identifiés à l'article 9.2.

Empreintes. Les données servant uniquement à vérifier une correspondance, codes d'accès, jetons, adresses IP, ne sont pas conservées : seule est stockée une empreinte cryptographique, non réversible.

12.4 Cloisonnement par office : trois barrières indépendantes

Le cloisonnement entre offices ne repose pas sur un mécanisme unique. Trois barrières indépendantes s'appliquent :

1. Barrière applicative. Chaque accès à une donnée rattachée à un office fait l'objet d'une vérification d'appartenance : l'identifiant transmis par le navigateur est confronté à l'office de l'Utilisateur authentifié, et un identifiant appartenant à un autre office est traité comme inexistant — sans révéler son existence.
2. Barrière au niveau de la base de données. Le cloisonnement est en outre inscrit dans le moteur de base de données lui-même, sous forme de règles de sécurité au niveau des lignes, qui subordonnent toute lecture à la qualité de membre actif de l'office concerné.
3. Barrière cryptographique. Les données relevant du niveau 2 de l'article 12.3 sont chiffrées sous une clé propre à l'office : leur lecture par un autre office serait sans objet, quand bien même les deux premières barrières viendraient à être franchies.

S'y ajoutent des restrictions plus strictes que le seul cloisonnement par office : certains flux — prise de rendez-vous, envois sécurisés, transmissions de coordonnées bancaires, historique des recherches — sont restreints à leur auteur au sein de l'office.

12.5 Traçabilité : un journal inaltérable

Les événements affectant la vie des comptes et des habilitations (création d'un office, invitation, adhésion, changement de rôle, révocation, modification d'adresse électronique, connexion depuis un appareil inconnu) sont consignés dans un journal de logs.

Ce journal présente une caractéristique : il est inaltérable par construction. Une contrainte inscrite dans la base de données interdit toute modification et toute suppression d'une écriture existante — y compris au compte technique d'administration d'EFFINOT. Une écriture ne peut qu'être ajoutée.

Il en résulte que ce journal constitue une pièce probatoire opposable et que sa valeur ne dépend pas de la confiance accordée à l'exploitant.

Les registres relatifs aux opérations de signature électronique bénéficient par ailleurs d'un horodatage conforme au protocole RFC 3161, délivré par un prestataire de services de confiance qualifié.

12.6 Résistance aux attaques sur les accès à lien

Les fonctionnalités mettant un contenu à la disposition d'un client de l'office au moyen d'un lien font l'objet de mesures spécifiques :

• le contenu chiffré n'est jamais délivré avant la présentation d'une preuve valide. Un attaquant ne peut donc pas récupérer le contenu pour en tenter le déchiffrement hors ligne, à son rythme — technique qui rend habituellement vains les codes courts ;
• le transfert est détruit au troisième code erroné, sans possibilité de restauration ;
• le compteur de tentatives est tenu de manière à résister aux tentatives concurrentes ;
• des plafonds d'envoi par adresse, par office et par jour limitent les usages abusifs ;
• une limitation de débit s'applique aux points d'entrée sensibles ; elle repose sur une empreinte salée de l'adresse IP, et non sur l'adresse elle-même.

12.7 Sécurité du cycle de vie logiciel

Toute modification du code du Service est soumise, avant intégration, à des contrôles automatisés :

• analyse statique de sécurité du code ;
• détection de secrets portant sur l'intégralité de l'historique du dépôt, et non sur la seule modification en cours ; ce contrôle est bloquant ;
• audit des dépendances, bloquant en présence d'une vulnérabilité de niveau élevé ;
• mise à jour hebdomadaire automatisée des composants tiers, les changements majeurs faisant l'objet d'une revue manuelle.

Aucun secret d'exploitation n'est conservé dans le code source : les secrets sont injectés au déploiement et ne figurent dans aucun fichier versionné.

12.8 Durcissement des pages et neutralisation des capteurs

Les pages du Service sont servies avec les en-têtes de sécurité suivants :

• interdiction de l'interprétation de type de contenu (nosniff) ;
• protection contre l'insertion dans un cadre tiers ;
• suppression du référent (no-referrer) — mesure importante en ce qu'elle empêche la fuite, vers un site tiers, d'un lien d'accès contenant un jeton ;
• neutralisation des capteurs du terminal : caméra, microphone, géolocalisation, moyens de paiement et périphériques USB sont désactivés par défaut ;
• politique de sécurité de contenu stricte, à jeton d'exécution unique (nonce), sur les pages accessibles par lien — celles qui sont exposées à des personnes non authentifiées.

ARTICLE 12 bis — ARCHITECTURE DE MINIMISATION : CE QU'EFFINOT NE COLLECTE PAS

La protection des données ne résulte pas seulement des mesures prises sur les données collectées : elle résulte d'abord des données que l'on choisit de ne pas collecter. EFFINOT prend les engagements suivants, qui décrivent des absences délibérées et vérifiables.

12 bis.1 Aucun outil de mesure d'audience ni de suivi comportemental

La Plateforme et le Site ne comportent aucun outil de mesure d'audience, aucun traceur comportemental, aucun outil de suivi d'erreurs tiers, aucune régie publicitaire, aucun bouton de partage social et aucun agent conversationnel tiers — sous quelque forme et de quelque éditeur que ce soit.

Il ne s'agit pas d'une configuration restrictive d'outils installés : ces
outils ne sont pas installés.

12 bis.2 L'adresse IP n'est jamais conservée en clair

Lorsqu'une adresse IP doit être conservée à des fins de sécurité ou de preuve, seule une empreinte cryptographique salée en est enregistrée. L'adresse elle-même n'est jamais écrite. L'empreinte n'est pas réversible et ne permet ni de retrouver l'adresse, ni de rapprocher les journaux de deux finalités distinctes, les sels employés étant différents.

Le journal technique d'accès va plus loin : il ne conserve ni identité d'utilisateur, ni adresse IP, ni identifiant de navigateur, ni paramètres d'URL, et les identifiants figurant dans les chemins consultés y sont systématiquement masqués. Il ne permet donc ni de savoir qui a consulté quoi, ni de reconstituer un parcours individuel.

Exception, signalée par souci d'exactitude : les opérations de signature électronique conservent l'adresse IP et l'identifiant de navigateur du signataire, en clair, au titre des exigences probatoires du règlement eIDAS. Cette conservation est nécessaire à la valeur juridique de la signature : sans elle, le dossier de preuve ne permettrait pas d'établir les circonstances dans lesquelles la signature a été apposée.

Ces éléments sont conservés avec le dossier de preuve auquel ils se rapportent, aussi longtemps que la signature est susceptible d'être contestée, dans la limite des durées de prescription applicables. Pour ce traitement, l'office notarial est responsable de traitement et EFFINOT agit en qualité de sous-traitant.

12 bis.3 L'appariement aux référentiels ne fait sortir aucun nom

Voir l'article 7 : les référentiels sont téléchargés chez EFFINOT et l'appariement est réalisé localement, sans interrogation d'une base distante ; aucun éditeur de référentiel ne se voit communiquer le nom recherché de ce fait. Les consultations de bases tierces demandées par l'Utilisateur et la surveillance continue, décrites au même article, obéissent en revanche à une logique différente et sont énoncées comme telles.

12 bis.4 Aucune dépendance tierce au chargement des pages applicatives

• Les polices de caractères sont hébergées par EFFINOT : aucun appel n'est adressé à un fournisseur de polices lors de la consultation d'une page.
• Aucun script tiers n'est chargé par les pages applicatives.
• Aucun agent de service (service worker) n'est installé sur le terminal.
• La politique de sécurité de contenu (article 12.8) énumère limitativement les origines autorisées : elle constitue la liste opposable des tiers susceptibles d'être contactés par le navigateur, et EFFINOT la tient à disposition.

12 bis.5 Aucune exploitation commerciale des données de dossier

Voir l'article 4.2. EFFINOT n'a déployé aucun des instruments techniques — traçage, profilage, enrichissement, revente — qui rendraient une telle exploitation possible, et son modèle économique n'y a aucun intérêt.

ARTICLE 13 — VIOLATION DE DONNÉES

En cas de violation de données à caractère personnel affectant les données de dossier, EFFINOT en informe l'office dans les meilleurs délais et au plus tard dans les vingt-quatre (24) heures suivant la prise de connaissance de la violation.

La notification comporte, dans la mesure des informations disponibles : la description de la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, les mesures prises ou envisagées pour y remédier et en atténuer les effets, ainsi que les coordonnées du point de contact d'EFFINOT.

EFFINOT apporte à l'office toute l'assistance nécessaire pour lui permettre de satisfaire à ses propres obligations de notification à la Commission nationale de l'informatique et des libertés et, le cas échéant, d'information des personnes concernées, ainsi qu'à ses obligations d'information de la chambre des notaires et du Conseil supérieur du notariat.

La notification à l'autorité de contrôle et l'information des personnes concernées relèvent de l'office, responsable de traitement.

Effet des mesures de chiffrement sur la portée d'une violation. L'office est informé de ce que, s'agissant des données relevant des niveaux 1 et 2 de l'article 12.3, une compromission de l'infrastructure d'EFFINOT ne serait pas susceptible de livrer les données en clair. Cette circonstance est de nature à écarter le risque élevé au sens de l'article 34.3 a) du RGPD, et donc l'obligation d'information individuelle des personnes concernées. EFFINOT fournit à l'office, dans sa notification, les éléments techniques lui permettant d'apprécier ce point sous sa propre responsabilité.

ARTICLE 14 — DROITS DES PERSONNES CONCERNÉES

14.1 Droits

Toute personne concernée dispose, dans les conditions et limites prévues par le RGPD, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.

14.2 Modalités d'exercice

Pour les données traitées par EFFINOT en qualité de responsable de traitement (article 3), la demande est adressée directement à EFFINOT à l'adresse figurant à l'article 21. EFFINOT y répond dans le délai d'un mois à compter de la réception, prorogeable de deux mois en considération de la complexité ou du nombre des demandes.

Pour les données de dossier (article 4), la demande doit être adressée à l'office notarial responsable de traitement. Si une telle demande parvient à EFFINOT, celle-ci la transmet sans délai à l'office concerné et en informe le demandeur, sans y répondre elle-même.

EFFINOT apporte à l'office, par des mesures techniques et organisationnelles appropriées, toute l'assistance nécessaire pour lui permettre de donner suite aux demandes d'exercice des droits.

14.3 Limites

L'exercice de ces droits s'exerce sans préjudice des obligations légales de conservation et d'archivage incombant au notaire, notamment au titre du caractère authentique des actes reçus, ainsi que des exigences de conservation résultant du Code monétaire et financier en matière de lutte contre le blanchiment.

14.4 Réclamation

Toute personne concernée dispose du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr).

14.5 Moyens mis à disposition de l'office

L'assistance prévue au 14.2 s'appuie sur des dispositifs existants :

• une procédure interne écrite de traitement des demandes d'exercice des droits, précisant les délais, les vérifications d'identité et les acteurs ;
• la suppression effective d'une pièce ou d'un document par l'office lui-même, depuis la Plateforme, portant sur l'enregistrement comme sur le fichier (article 11.5) ;
• l'effacement cryptographique (article 5.3), qui permet de rendre définitivement illisibles les données d'un office y compris sur les supports où une suppression sélective serait impraticable ;
• la date de dernière vérification attachée aux référentiels employés, qui permet à l'office de justifier de l'actualité des données sur lesquelles il s'est fondé.

ARTICLE 15 — ASSISTANCE, DOCUMENTATION ET AUDIT

EFFINOT met à la disposition de l'office l'ensemble des informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, notamment :

• la présente Politique de confidentialité et l'accord de sous-traitance ;
• la liste à jour des sous-traitants ultérieurs ;
• le référentiel des mesures de sécurité ;
• les éléments utiles à la réalisation, par l'office, d'une analyse d'impact relative à la protection des données ;
• les certifications et attestations dont EFFINOT est titulaire.

L'office peut faire réaliser, à ses frais, un audit de conformité, au plus une fois par période de douze mois sauf incident de sécurité avéré, moyennant un préavis raisonnable de trente (30) jours, aux heures ouvrées et sans perturbation excessive de l'activité d'EFFINOT. L'auditeur ne peut être un concurrent d'EFFINOT et doit être tenu à une obligation de confidentialité. L'audit ne peut en aucun cas porter sur les données d'autres offices clients.

15.1 Documentation de conformité effectivement tenue

EFFINOT tient et met à jour, et communique à l'office sur demande :

• un registre des activités de traitement au sens de l'article 30 du RGPD, distinguant les traitements dont elle est responsable de ceux qu'elle opère en qualité de sous-traitant ;
• un inventaire des sous-traitants ultérieurs et des flux de données, versionné et daté, dans lequel chaque affirmation est rattachée à sa source technique (article 9.2) ;
• une cartographie des mesures de sécurité rapportée aux recommandations du guide de la sécurité des données personnelles de la CNIL ;
• une procédure de gestion des violations de données et une procédure de traitement des demandes d'exercice des droits ;
• une auto-évaluation de maturité en matière de protection des données, identifiant les axes de progression retenus et leur échéance.

EFFINOT communique ces documents y compris lorsqu'ils font apparaître des axes de progression. Elle considère qu'une documentation qui ne mentionnerait que des points de conformité n'aurait aucune valeur informative pour l'office.

ARTICLE 16 — RÉVERSIBILITÉ ET SORT DES DONNÉES EN FIN DE CONTRAT

La récupération des données de l'office et son changement de fournisseur s'effectuent dans les conditions et selon les délais de l'article 11.5 des CGU, auquel il est renvoyé. À la cessation du contrat, quelle qu'en soit la cause, s'ouvre une période de récupération de trente (30) jours calendaires au minimum, pendant laquelle l'office peut exporter l'intégralité de ses données. Lorsque l'office a engagé un changement de fournisseur, cette période est précédée de la période transitoire de maintien du service prévue à l'article 11.5 (c) des CGU.

Cet export est fourni à titre gratuit, dans un format structuré, couramment utilisé et lisible par machine, préservant l'arborescence des dossiers et l'intégrité des documents. Il est réalisé au moyen d'une fonctionnalité accessible depuis la Plateforme ou, à défaut, sur demande écrite dans un délai de quinze (15) jours ouvrés.

À l'expiration de la période de récupération, ou par anticipation sur demande écrite de l'office, EFFINOT procède à la suppression définitive de l'ensemble des données de dossier, y compris au sein des sauvegardes selon le cycle décrit à l'article 11, et en délivre une attestation écrite.

Aucune suspension pour défaut de paiement ne peut faire obstacle à l'exercice du droit à réversibilité prévu au présent article.

16.4 Effacement cryptographique et sauvegardes

La suppression de données présentes dans des sauvegardes soulève une difficulté technique connue : une sauvegarde est, par nature, un instantané que l'on ne peut modifier sans en compromettre l'intégrité.

EFFINOT répond à cette difficulté par l'effacement cryptographique (article 5.3) : la destruction du secret de chiffrement propre à l'office rend définitivement illisibles les données protégées par lui, y compris celles figurant dans des sauvegardes antérieures, et ce sans attendre le cycle d'écrasement de celles-ci et sans affecter les données des autres offices.

L'attestation prévue au présent article mentionne, le cas échéant, la mise en œuvre de ce mécanisme et sa date.

16.5 Absence d'obstacle au changement de fournisseur

Conformément au règlement (UE) 2023/2854 du 13 décembre 2023 (« règlement sur les données »), EFFINOT s'interdit d'opposer à l'office tout obstacle contractuel, économique, organisationnel ou technique à son changement de fournisseur. Aucun frais n'est facturé au titre de la récupération des données, de l'assistance à la migration ou du changement de fournisseur lui-même ; la fourniture du Service pendant la période transitoire demeure due au tarif en vigueur, dans les conditions de l'article 11.5 (f) des CGU.

ARTICLE 17 — COOKIES ET TRACEURS

Sur la Plateforme comme sur le Site, seules sont déposées des informations strictement nécessaires à la fourniture du service expressément demandé par l'Utilisateur, ou relevant d'une personnalisation qu'il a lui-même demandée. Ces informations sont dispensées de consentement en application de l'article 82 de la loi du 6 janvier 1978. Leur inventaire nominatif figure à l'article 17.1.

Aucun traceur de mesure d'audience, aucun traceur comportemental, aucun traceur publicitaire et aucun bouton de partage social n'est déposé, ni sur la Plateforme ni sur le Site. Il ne s'agit pas d'une configuration restrictive d'outils installés : ces outils ne sont pas installés (article 12 bis.1).

EFFINOT ne recueille donc aucun consentement en matière de traceurs et ne met en œuvre aucun module de gestion des préférences : il n'y a rien à consentir ni à refuser. L'Utilisateur conserve la faculté de supprimer à tout moment les informations déposées depuis les paramètres de son navigateur.

Le cookie de session a une durée de vie glissante n'excédant pas treize (13) mois. Les autres durées figurent à l'article 17.1.

17.1 Inventaire nominatif des accès au terminal

L'article 82 de la loi du 6 janvier 1978 couvre toute inscription ou lecture dans le terminal, et non les seuls cookies. Par souci d'exactitude, EFFINOT publie l'inventaire complet des informations déposées sur le terminal de l'Utilisateur :

Cookies

Autres informations déposées sur le terminal

Aucun de ces éléments n'est un traceur au sens publicitaire ou statistique : aucun ne poursuit de finalité de mesure ni de profilage, aucun n'est transmis à un tiers, et tous sont strictement nécessaires au service expressément demandé ou relèvent d'une personnalisation demandée par l'Utilisateur. Ils sont à ce titre dispensés de consentement.

L'Utilisateur peut les supprimer à tout moment depuis les paramètres de son navigateur.

Tiers contactés par le navigateur. Sur certaines pages, l'affichage de fonds cartographiques ou d'un document publié conduit le navigateur à contacter directement un tiers, qui reçoit de ce fait l'adresse IP de l'Utilisateur. La liste de ces origines est limitativement énumérée par la politique de sécurité de contenu (article 12.8) et tenue à disposition de l'office.

ARTICLE 18 — DONNÉES RELATIVES AUX MINEURS

Le Service n'est pas accessible aux mineurs, l'accès à la Plateforme étant réservé aux notaires et à leurs collaborateurs.

Des données relatives à des mineurs sont toutefois susceptibles de figurer dans les dossiers instruits par l'office, notamment en matière de succession, de donation, de tutelle ou d'administration légale. Ces données sont traitées dans les conditions de l'article 4, sous la responsabilité de l'office notarial, et bénéficient des mesures de sécurité renforcées visées à l'article 4.5.

ARTICLE 19 — CESSION ET CHANGEMENT DE CONTRÔLE

En cas de fusion, d'apport, de cession de tout ou partie de son fonds ou de changement de contrôle, EFFINOT en informe les offices clients au moins trente (30) jours avant la réalisation de l'opération.

Le transfert des données de dossier au cessionnaire ou à l'entité issue de l'opération est subordonné à la reprise intégrale, par celui-ci, des engagements souscrits aux présentes. À défaut, ou si le changement de contrôle est de nature à compromettre le niveau de protection des données, l'office peut résilier le contrat sans indemnité ni pénalité et exercer son droit à réversibilité dans les conditions de l'article 16.

ARTICLE 20 — MODIFICATION DE LA POLITIQUE DE CONFIDENTIALITÉ

EFFINOT peut être amenée à modifier la présente Politique de confidentialité, notamment pour tenir compte d'évolutions législatives, réglementaires, jurisprudentielles ou techniques.

Toute modification substantielle est notifiée à l'office par courrier électronique au moins trente (30) jours avant son entrée en vigueur. La version en vigueur est consultable en permanence à l'adresse www.effinot.fr/confidentialite avec indication de sa date de mise à jour et accès à l'historique des versions.

S'agissant des stipulations relevant de la sous-traitance au sens de l'article 28 du RGPD, aucune modification ne peut être imposée unilatéralement à l'office : elle fait l'objet d'un avenant à l'accord de sous-traitance, l'office pouvant, à défaut d'accord, résilier le contrat dans les conditions de l'article 9.3.

ARTICLE 21 — CONTACT

Point de contact en matière de protection des données

• Par courrier électronique : contact@effinot.fr
• Par courrier postal : EFFINOT — 1 rue Jean-François de la Pérouse, 26000 Valence — à l'attention du point de contact protection des données

Questions générales : contact@effinot.fr — du lundi au vendredi de 9h00 à 18h00.

ARTICLE 22 — ENGAGEMENTS DE TRANSPARENCE

EFFINOT prend les engagements suivants, qui excèdent ses obligations légales :

22.1 Publication versionnée. La présente Politique est publiée dans son intégralité, avec sa date de mise à jour et l'accès à ses versions antérieures. Aucune stipulation n'est réservée à un document non public.

22.2 Inventaire des sous-traitants tenu à jour. L'inventaire visé à
l'article 9.2 est révisé à chaque évolution de l'architecture technique, et non
à intervalle fixe. Chaque entrée mentionne la nature des données transportées et
leur localisation.

22.3 Description exacte des mesures. EFFINOT s'attache à ne décrire, dans la présente Politique, que des mesures effectivement mises en œuvre à sa date. Les mesures projetées, lorsqu'elles sont mentionnées, le sont expressément comme telles, avec leur échéance. EFFINOT considère qu'une politique de confidentialité décrivant des mesures non tenues expose l'office qui s'en prévaut auprès de ses propres clients.